Stabsstelle Informationssicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-327

[MS/Windows] Schwachstelle im WebDAV Service Provider
(2001-04-19 09:29:44+00)

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2001/04/msg00347.html

Durch einen Implementierungsfehler im WebDAV Service Provider werden in HTML eingebettete Scripte im Sicherheitskontext des Benutzers ausgeführt, womit arglistigen Webseiten/HTML-E-Mails Zugriff auf web-basierte Resourcen des Betrachters ermöglicht wird.

Betroffene Systeme

mit einer msdaipp.dll Versionsnummer:
  • 8.102.1403.0
  • 8.103.2402.0
  • 8.103.2519.0
Die Versionnummer erhalten Sie über Eigenschaften (rechtsklick) der msdaipp.dll im Registerblatt "Version". Die msdaipp.dll finden Sie am schnellsten über Start | Suchen | Suchen nach Dateien und Ordnern.

Typ der Verwundbarkeit
design flaw

Beschreibung
Der Microsoft Data Access Component Internet Publishing Provider, welcher Fernzugriff auf web-basierte Resourcen handhabt und Anfragen an WebDAV (Web Distributed Authoring and Versioning) übergibt, besitzt einen Implementierungsfehler wodurch arglistige Webseiten oder HTML-E-Mails WebDAV Anfragen im Sicherheitskontext des Betrachters absetzen können. Ein Angreifer wäre somit in der Lage Zugriff auf die Daten des die arglistige Webseite/HTML-E-Mail betrachtenden Benutzers (mit den Privilegien des Benutzers) zu erlangen.

Von dieser Schwachstelle sind stand-alone Systeme, die nie einer Workgroup oder Domain angehört haben, scheinbar nicht betroffen.

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Gegenmaßnahmen
Microsoft stellt einen Patch zur Behebung dieser Schwachstelle zur Verfügung. Wie üblich existiert der Patch derzeit nur für die us-amerikanischen Versionen.

Workaround
Deaktivieren Sie "Active Scripting" (in den Sicherheitseinstellungen des Internet Explorers).

Weitere Information zu diesem Thema

(tf)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=327